Signtool 停止添加会签 - 怎么了？答案

【问题标题】：Signtool stopped adding countersignature - what's up?Signtool 停止添加会签 - 怎么了？
【发布时间】：2010-11-21 11:39:20
【问题描述】：

我最近遇到了一个非常奇怪的问题。我们产品的编译包括签署内核模式驱动程序和添加会签。这是通过调用 DDK（现为 WDK）中包含的 signtool 来完成的：

"%DDKBASE%\6001.18000\bin\SelfSign\signtool.exe" 签到/T http://timestamp.globalsign.com/scripts/timstamp.dll /ac “countercert 路径\MSCV-GlobalSign.cer” /s SPC /n "EldoS Corporation" %1

直到最近我们发现反证书没有添加到已签名的驱动程序中时，一切都运行良好。 signtool 不报告任何错误并默默地忽略证书。签名本身和主证书链已正确应用，并且仅缺少反证书。

来自更高版本 WDK（版本 7600.16385.0）的 SignTool 使用相同的命令行可以正常工作。

我尝试重新注册 capicom.dll，附带有问题的 signtool（它位于同一个文件夹中），但这没有帮助。

我不确定我们是否可以使用来自 7600.16385.0 的 signtool，因为我觉得它可能会破坏与 Windows 2000 的兼容性。

所以问题是，是否有人知道可能出了什么问题？

更新：好吧，看起来 7600 signtool 工作正常（即用该版本签名的驱动程序在 XP 和 Windows 7 上工作正常），所以我们现在就走这条路，并将替换 signtool将来使用我们自己的自制工具来避免此类意外。

【问题讨论】：

标签： wdk signtool

【解决方案1】：

使用7600.16385.0版本的signtool就可以了。它仍然可以在 Windows 2000 上运行。至于 6001.18000 版本的问题，请检查您的证书存储中是否有您公司的多个证书。可能选错了。

【讨论】：

你的意思是7600版本的产品（签名文件）可以在Win2K上运行，对吧？至于证书本身 - 我确实在第一或第二位检查了这一点。选择了正确的证书，建立了正确的链。只有反证书没有正确添加。最奇怪的是，同样的操作在另一台计算机上运行良好，这几乎是这个构建服务器的完全相同的副本（它们是在 8 月克隆的），所以这是一些本地 signtool 问题。